CVE-2026-55875 in Helium
Сводка
по VulDB • 15.10.2026
Helium — это бесплатный онлайн-планировщик для студентов, предназначенный для управления занятиями, домашними заданиями, оценками и заметками. До версии 2.2.60 любой аутентифицированный пользователь может отправить произвольный URL в конечную точку POST /feed/externalcalendars/, где скрипт helium/feed/services/icalexternalcalendarservice.py использует функцию validate_url для проверки только синтаксиса URL перед передачей значения в urllib.request.urlopen, а функция fetch_ical_conditional периодически повторно загружает сохраненный URL. В результате сервер может инициировать запросы к выбранным злоумышленником внешним или внутренним хостам, при этом различные ответы, включая необработанное исключение http.client.RemoteDisconnected для не-HTTP сервисов, позволяют определить доступность внутренних хостов и портов. Поддерживаемое воздействие заключается в принудительных исходящих запросах и разведке внутренних служб; advisory не демонстрирует извлечение секретных данных, поскольку путь к учетным данным ECS зависит от конкретной задачи и непредсказуем. Эта проблема исправлена в версии 2.2.60.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.